CVE-2022-29180

Versões do Charm anteriores à 0.12.1

Uma vulnerabilidade permite que invasores forjem solicitações HTTP para manipular o diretório de dados charm, podendo acessar ou excluir qualquer coisa no servidor. Os dados criptografados do usuário enviados para o servidor Charm estão seguros, pois os servidores Charm não podem descriptografar dados do usuário. Isso inclui nomes de arquivos, caminhos e todos os dados de chave-valor. Os usuários que executam as imagens oficiais do Charm no Docker correm risco mínimo, pois a exploração se limita ao sistema de arquivos em contêiner. A vulnerabilidade foi identificada internamente e não houve notificações de possíveis exploradores.

Para versões anteriores à 0.12.1, atualize para a versão 0.12.1 imediatamente para corrigir a vulnerabilidade. Como solução temporária, considere restringir o acesso ao diretório de dados charm até que a atualização seja aplicada. Os usuários que executam instâncias charm auto-hospedadas devem priorizar esta atualização.